La Agencia Española de Protección de Datos ha dictado resolución en el procedimiento de derechos EXP202510699, estimando la reclamación formulada contra Madrid Hipotecaria Financial, S.L. por vulneración del artículo 15 del RGPD, al no haber dado respuesta a la solicitud de ejercicio del derecho de acceso formulada por el reclamante, a pesar de que dicha solicitud fue efectivamente recibida por la entidad.
Antecedentes del caso
El reclamante manifestó que la entidad reclamada había realizado en su nombre servicios de intermediación inmobiliarios y que, según afirmaba, había compartido documentos de las citadas operaciones con un tercero, quien posteriormente los habría aportado a un procedimiento judicial. El reclamante declaró no haber autorizado ni la remisión de la documentación ni la utilización de esta en un procedimiento judicial.
Con fecha 5 de mayo de 2025, el reclamante ejercitó el derecho de acceso ante la parte reclamada, solicitando específicamente confirmación sobre si se estaban tratando sus datos personales, una copia de dichos datos, los fines del tratamiento, las categorías de datos tratados, los destinatarios a los que se habían comunicado sus datos (especialmente en lo referente a un correo electrónico concreto remitido a un tercero), el fundamento legal para dicha comunicación de datos y el plazo previsto de conservación.
El reclamante remitió su solicitud por burofax postal al domicilio social que constaba en el Registro Mercantil. Dicho burofax fue devuelto el 6 de mayo de 2025 con la indicación de que el destinatario no se localizaba en la dirección proporcionada. Adicionalmente, el reclamante envió la misma solicitud mediante burofax electrónico a la dirección de correo personal de un trabajador de la entidad con el que se había relacionado para llevar a cabo el encargo profesional.
Según consta en el acuse de recibo, el burofax electrónico fue enviado el 7 de mayo de 2025 y fue abierto por el destinatario por primera vez ese mismo día. La resolución constata que el correo del burofax electrónico fue abierto por el destinatario hasta en tres ocasiones, los días 7, 8 y 11 de mayo de 2025, declinando sin embargo la firma electrónica del burofax para poder descargarlo y visualizarlo, constando fehacientemente su entrega.
Tramitación del procedimiento
La AEPD dio traslado de la reclamación a la parte reclamada el 22 de julio de 2025, sin que esta contestara a dicho traslado. Ante la falta de respuesta, la reclamación fue admitida a trámite el 22 de agosto de 2025.
Mediante acuerdo de 29 de agosto de 2025, se concedió a la parte reclamada trámite de audiencia.
Alegaciones de la parte reclamada
En sus alegaciones, la entidad reclamada centró su argumentación en cuestiones ajenas al derecho de acceso ejercitado. La parte reclamada alegó que, conforme al artículo 65.2 de la LOPDGDD, la Agencia no debería admitir a trámite reclamaciones que no versen sobre protección de datos personales por comunicación de los mismos a tercero.
Asimismo, argumentó que los datos personales del reclamante figuraban en una escritura pública junto con los de otra persona como otorgantes de la misma, por lo que dicha tercera persona no podría considerarse como un tercero a efectos de protección de datos. La parte reclamada invocó además diversas bases de legitimación del artículo 6 del RGPD para justificar el tratamiento de datos, incluyendo el consentimiento del interesado al dar sus datos voluntariamente en la escritura pública, la necesidad del tratamiento para la ejecución de un contrato de intermediación inmobiliaria, y la satisfacción de intereses legítimos derivados de la existencia de dicho contrato, cuya existencia era negada por la defensa del reclamante en un procedimiento judicial.
La resolución destaca que en las alegaciones presentadas por la parte reclamada no se hace alusión en ningún momento al derecho de acceso ejercitado por la parte reclamante.
Alegaciones de la parte reclamante
Tras el traslado de las alegaciones de la parte reclamada, el reclamante solicitó que se rechazaran íntegramente dichas alegaciones por carecer de fundamento jurídico, que se declarara la existencia de infracción muy grave de diversos preceptos del RGPD y de la LOPDGDD, que se declarara la responsabilidad solidaria de la sociedad y de su administrador por la cesión ilícita de datos personales, y que se requiriera a los reclamados para atender el derecho de acceso ejercitado.
Fundamentos jurídicos de la resolución
La resolución se fundamenta en el artículo 15 del RGPD, que reconoce el derecho del interesado a obtener del responsable del tratamiento confirmación de si se están tratando datos personales que le conciernan y, en tal caso, derecho de acceso a los mismos.
La AEPD recuerda que el responsable del tratamiento está obligado a responder las solicitudes de ejercicio de derechos a más tardar en un mes, debiendo expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud formulada por el afectado.
Delimitación del objeto del procedimiento
La resolución delimita expresamente su objeto, señalando que únicamente tendrá en cuenta si el derecho solicitado, el derecho de acceso, ha sido atendido o no. Las restantes cuestiones planteadas por las partes, que se encuentran judicializadas, deberán en su caso ser resueltas al margen de la resolución por parte del órgano jurisdiccional competente.
Valoración de la AEPD
La Agencia constata que durante la tramitación del procedimiento la entidad reclamada ha contestado a la AEPD, pero no acredita haber atendido lo solicitado por la parte reclamante, remitiéndole la preceptiva respuesta a su solicitud de acceso a sus datos personales.
La resolución señala que las normas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los responsables, aun en el supuesto de que no existan datos en los ficheros o incluso en aquellos supuestos en los que no reuniera los requisitos previstos, en cuyo caso el destinatario viene igualmente obligado a requerir la subsanación de las deficiencias observadas o denegar la solicitud motivadamente indicando las causas por las que no procede considerar el derecho de que se trate.
La AEPD concluye que la solicitud formulada obliga al responsable a dar respuesta expresa en todo caso, empleando para ello cualquier medio que justifique la recepción de la contestación.
Pronunciamiento
La Presidencia de la AEPD resuelve estimar la reclamación, declarando la infracción del artículo 15 del RGPD, e insta a Madrid Hipotecaria Financial, S.L. a que, en el plazo de diez días hábiles desde la notificación, remita al reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición.
La resolución advierte que el incumplimiento podría constituir una infracción del artículo 83.6 del RGPD, calificada como muy grave a efectos de prescripción conforme al artículo 72.1.m) de la LOPDGDD.